Vingt-six mille signalements, deux cents correctifs : Glasswing fait craquer la divulgation des vulnérabilités

Les chiffres de validation

D’après le point d’étape d’Anthropic sur Glasswing (mai 2026) et la system card de Mythos Preview :

• Projets analysés : >1 000
• Vulnérabilités de gravité élevée ou critique signalées : 6 202
• Évaluées de manière indépendante : 1 752, par six sociétés de recherche en sécurité
• Vrais positifs validés : 90,6 %
• Gravité élevée ou critique confirmée : 62,4 %

Ces chiffres sont solides, et c’est pour cette raison que la suite de cet article n’est pas une démolition en règle. Le modèle fonctionne. Le goulet d’étranglement se situe en aval – et, comme on va le voir, les affirmations sur la gravité sont plus fragiles que celles sur la validité.

Trois registres qui ne concordent pas

Patrick Garrity, de VulnCheck, suit Glasswing depuis son lancement le 7 avril. Voici son analyse du 8 septembre, menée sur le registre après rattrapage :

Le résumé de Garrity lui-même mérite d’être cité, et il est juste : les comptes « ne concordent tout simplement pas ». Ses observations précises :

• Seuls 9,8 % des signalements sont parvenus à un mainteneur au bout de cinq mois. Anthropic le reconnaît dans le registre lui-même : le tri et la revue humains constituent « l’étape limitante ».
• Les 202 signalements corrigés concernent 113 projets, soit 1,79 correctif par projet. Le registre compte davantage de signalements retirés ou en doublon que de signalements corrigés.
• L’écart entre 421 et 202 tient probablement à une question de définition (corrigé en amont contre correctif confirmé dans le registre). Mais la raison d’être d’un registre de divulgation, c’est justement de fournir le chiffre qui fait foi. Deux chiffres émanant d’une même organisation, c’est un problème de gouvernance, pas d’arrondi.
• Les dates sont trompeuses. Le registre n’a connu que deux mises à jour en bloc ; la « date de révélation publique » d’un signalement ne correspond donc pas au moment où il est réellement apparu.

L’écart de gravité : quand « critique » pèse très lourd

La nouveauté la plus importante du registre de septembre, c’est qu’il affiche désormais à la fois la gravité attribuée par Claude et celle attribuée par le mainteneur. Les deux divergent nettement :

• Claude a classé 91,5 % des signalements comme critiques ou élevés.
• Les mainteneurs ont classé 51,3 % de ces mêmes signalements comme critiques ou élevés.

Cela fait un écart de 40 points, et comme le registre ne publie pas les métriques CVSS qui sous-tendent les scores de Claude, la cause profonde ne peut pas être auditée de l’extérieur. L’analyse de Garrity : le modèle produit probablement « une évaluation générique plutôt que celle qu’aurait donnée un prompt soigneusement rédigé par quelqu’un qui maîtrise l’évaluation de la gravité ». C’est important, car le gros titre « des milliers de vulnérabilités critiques » repose sur la notation de gravité du modèle, et les mainteneurs, qui ont la charge du code, la divisent à peu près par deux.

Le cas curl : pourquoi « 91,4 % de vrais positifs » mérite un astérisque

Daniel Stenberg (mainteneur de curl) a documenté les signalements de Mythos concernant curl : cinq signalements se sont réduits à un seul. Trois étaient des faux positifs, un était un bug mais pas une vulnérabilité, et un était une véritable vulnérabilité. Les données du registre concordent avec ce schéma. Un taux élevé de vrais positifs validés sur un échantillon évalué de manière indépendante peut coexister avec une expérience bien plus chaotique pour le mainteneur qui reçoit les signalements bruts – car le dédoublonnage, l’analyse d’atteignabilité et la question « est-ce vraiment une vulnérabilité ou juste un bug ? » sont précisément les étapes de tri humain sur lesquelles bute toute la chaîne.

Pourquoi un signalement sous embargo qui vieillit devient un passif

Un signalement sous embargo n’est un actif que tant qu’il reste exclusif. Trois facteurs l’érodent :

1. La redécouverte indépendante. Dix-huit signalements ont été corrigés par d’autres avant qu’Anthropic ne les transmette. Garrity : « Je soupçonne que ce problème va s’amplifier avec le temps, à mesure que les signalements vieilliront et que les mainteneurs ou d’autres chercheurs les trouveront et les corrigeront d’eux-mêmes. » Chaque nouveau modèle performant – et chaque attaquant qui en utilise un – fait monter le taux de redécouverte. Le benchmark de redécouverte de l’UCL (voir Ce que Mythos a vraiment trouvé) mesure précisément cela.
2. La surface de fuite. Au total, 2 096 signalements ont été transmis aux mainteneurs mais ne sont pas corrigés. Chacun est connu d’au moins deux parties, sans compter tous ceux qui ont accès à la boîte mail ou au gestionnaire de tickets du mainteneur.
3. L’exposition à sa propre politique. En tant qu’autorité de numérotation CVE (CVE Numbering Authority) pour les signalements de Glasswing, Anthropic est tenue par le délai qu’elle a elle-même fixé (publication à 90 jours, attente de 45 jours après correctif, prolongations de 14 jours, exceptions plus larges : dans la pratique, l’échéance réelle est floue). En juin, VulnCheck comptait déjà 10 signalements non divulgués ayant dépassé les 90 jours et 168 sur le point de les dépasser. Des signalements qui dépassent l’échéance sans être publiés, c’est un coût en crédibilité ; les publier sans correctif, c’est un coût en sécurité. Avec 24 000 signalements en attente, cette politique impose un choix qu’elle n’a pas été conçue pour trancher.

Les hypothèses cachées de la divulgation coordonnée

Ce qu’un mainteneur face à 400 signalements est censé faire

Honnêtement : pas ce que le système actuel lui demande. Voici les propositions sur la table, classées à peu près selon l’ampleur du changement qu’elles impliquent :

• Regrouper, dédoublonner et hiérarchiser à la source. Le cas curl montre pourquoi : le 5→1 devrait avoir lieu avant que le mainteneur ne voie quoi que ce soit. Les 245 retraits du registre, c’est du tri qui a fini par retomber sur des humains.
• Faire fournir le correctif par l’auteur de la découverte. Qui sait écrire un exploit sait en général écrire un correctif ; le travail du mainteneur devient la relecture. Cela déplace le goulet d’étranglement sans le supprimer – et soulève le problème du « modèle qui se porte garant de son propre correctif », apparu par ailleurs cet été.
• Corriger par classes de bugs plutôt qu’au cas par cas (l’argument de Weston à Black Hat ; voir Black Hat 2026 : ce qu’ont défendu les keynotes) : 400 bugs de sécurité mémoire, ce ne sont pas 400 correctifs.
• Moduler l’embargo selon la capacité du projet. Un délai de 90 jours ne signifie pas la même chose pour un éditeur bien doté et pour un projet de deux personnes.
• Financer le tri. Les dons d’Anthropic (2,5 millions de dollars à Alpha-Omega via l’OpenSSF/la Linux Foundation, 1,5 million de dollars à l’Apache Software Foundation), auxquels s’ajoutent 100 millions de dollars de crédits d’API pour ses partenaires, sont un début. L’écart entre cela et la charge de travail qu’impliquent 24 000 signalements non divulgués, voilà la véritable question politique.

Sources

• Anthropic, annonce de Claude Mythos Preview + Project Glasswing, 8 avril 2026, et point d’étape sur Glasswing, mai 2026 – anthropic.com ; Disclosure Ledger – red.anthropic.com
• VulnCheck (Patrick Garrity), The Anthropic Glasswing Receipts Are Starting to Trickle In, 8 septembre 2026 – https://www.vulncheck.com/blog/anthropic-glasswing-receipts ; Observations on Anthropic’s Vulnerability Disclosure Ledger, 9 juin 2026 – https://www.vulncheck.com/blog/anthropic-ledger ; Tracking CVEs Attributed to Anthropic, 15 avril 2026 – https://www.vulncheck.com/blog/anthropic-glasswing-cves
• Daniel Stenberg, Mythos Finds a Curl Vulnerability, 11 mai 2026 – https://daniel.haxx.se/blog/2026/05/11/mythos-finds-a-curl-vulnerability/
• Dark Reading, Mythos Vulnerability Firehose Hits a Human Bottleneck, 10 septembre 2026 – https://www.darkreading.com/application-security/mythos-vulnerability-firehose-hits-human-bottleneck
• The Register, AI-found bugs aren’t proving any easier to exploit despite the hype, 28 juillet 2026 – https://www.theregister.com/security/2026/07/28/ai-found-bugs-arent-proving-any-easier-to-exploit-despite-the-hype/5279637
• CSO Online, Project Glasswing has uncovered 10,000 vulnerabilities: Anthropic, mai 2026 – csoonline.com ; Help Net Security, 26 mai 2026 – helpnetsecurity.com

Note de la rédaction : nous n’avons pas pu confirmer la publication du rapport distinct de Glasswing à 90 jours, promis pour début juillet. S’il existe, l’avant-dernier paragraphe de la lecture rapide devra être révisé.